Berufungsgericht Brüssel: Transparency & Consent Framework (TCF) des IAB Europe verstößt gegen Datenschutzrecht

Ein belgisches Berufungsgericht hat mit einer Entscheidung zum Transparency & Consent Framework (TCF) des IAB Europe für einen Paukenschlag gesorgt, der allerdings wenig überraschend kommt. Das TCF, welches die technische Grundlage für einen Großteil der Tracking-Einwilligungen auch großer Werbeanbieter wie Google oder Amazon ist, verstößt nach Auffassung der Richter gegen Vorgaben der DSGVO. Das Urteil und etwaige Folgeentscheidungen von Aufsichtsbehörden könnte weitreichende Konsequenzen für die Werbebranche haben. Die Art und Weise, wie heute tracking-basierte Ads ausgespielt werden, insbesondere durch “Real-Time-Bidding” auf Werbeplätze, könnte vor dem Aus stehen. 

Technischer Hintergrund?

Stark vereinfacht: Beim “Interactive Advertising Bureau” (IAB) Europe handelt es sich um einen Verband der Online-Werbebranche. Der Verband entwickelt und betreibt den technischen Standard “Transparency & Consent Framework” (TCF), welcher wiederum technische Grundlage fast aller Werbe-Einwilligung mit gängigen Cookie-Consent-Bannern ist. Das TCF erstellt für jeden Nutzer einen individuellen Code, den sogenannten “TC-String”. Dieser speichert die persönlichen Präferenzen des Users, z.B. Einwilligungen und Verarbeitungszwecke. Der TC-String wird wiederum Werbetreibenden zur Verfügung gestellt, um diesen die standardisierte Einholung von Einwilligungen zu erleichtern. So bildet das TCF die technische Grundlage für tracking-basierte Werbung und insbesondere “Real-Time-Bidding”.

Vorgeschichte des Urteils

Die belgische Datenschutzbehörde (DPA) hatte IAB Europe bereits 2022 wegen Datenschutzverstößen im Zusammenhang mit dem TCF sanktioniert. Gegen diese Entscheidung wehrte sich IAB Europe gerichtlich.

Der Europäische Gerichtshof entschied mit Urteil vom 07.03.2024 (Az. C‑604/22– IAB Europe/Gegevensbeschermingsautoritei), dass es sich bei TC-Strings um personenbezogene Daten handelt. Insbesondere in Kombination mit IP-Adressen könnten, so der EuGH, die Strings einer natürlichen Person zugeordnet werden. Das Urteil bestätigte, dass der EuGH den Begriff “personenbezogene Daten” extrem weit auslegt.

Die Kernaussagen des Urteils des Berufungsgerichts Brüssel

Das belgische Gericht setzte diese Rechtsprechung nun logisch fort und bestätigte inhaltlich die Position der DPA:

• ✅ TC-Strings sind personenbezogene Daten
  → Das Gericht knüpft insofern an die Rechtsprechung des EuGH an.

• ✅ IAB Europe ist (Mit-)Verantwortlicher
  → Aufgrund seiner Rolle bei der Gestaltung, Durchsetzung und Verwaltung des TCF. Die Datenverarbeitung liegt somit nicht allein in der Verantwortlichkeit der Werbetreibenden. Das Argument des IAB Europe, es stelle nur eine technische Plattform zur Verfügung, wohingegen die Verantwortung für die DSGVO-Konformität bei den Anwendern (Werbetreibenden) liege, ließ das Gericht nicht gelten.

• ❌ Keine gültige Rechtsgrundlage
  → Weder Einwilligung noch berechtigtes Interesse waren rechtlich ausreichend belegt. Die Einwilligung genüge nicht den DSGVO-Anforderungen, insbesondere hinsichtlich Transparenz, Eindeutigkeit und Freiwilligkeit.
  Zugespitzt gesagt: Tracking und Programmatic Ads seien technisch so komplex, dass Laien die Tragweite ihrer Einwilligung gar nicht nachvollziehen können. Eine rechtskonforme Einwilligung in derart komplexe Verarbeitungen wäre damit praktisch unmöglich.
  Im Ergebnis ist damit bereits die Weitergabe der TC-Strings an Werbetreibende in der bisherigen Form datenschutzwidrig.

Auswirkungen auf die Branche

Darüber, welche Tragweite das Urteil hat, sind sich die Beteiligten naturgemäß uneins. Während das IAB Europe der Auffassung ist, das Urteil mache nur geringfügige Anpassungen am TCF erforderlich, von denen die meisten bereits mit der aktuellsten Version 2.2 umgesetzt worden seien, sehen die beteiligten Aufsichtsbehörden dies strenger.

Das Irish Council for Civil Liberties betont etwa, dass nach dem Urteil tracking-basierte Werbung durch Google, Microsoft, Amazon oder X in Europa keine rechtliche Grundlage habe. Das Urteil mache deutlich, dass die Branche innovativ werden und sich von der gefährlichen, ineffektiven und betrugsanfälligen Tracking-basierten Werbung abwenden müsse.

Das Urteil ist (übersetzt auf Englisch) hier abrufbar.